add xss csrf demo